会社概要

株式会社ワイイーシーソリューションズ様は、神奈川県を初め、全国の地方公共団体および企業のお客様に対してITサービスを提供している企業です。元々は、自治体の年金計算業務におけるデータのバックアップを目的とする情報処理センターとして創立されたのが成り立ちで、創業以来、地方公共団体様向けのシステム設計やシステム開発、受託計算を主に行っております。
また、同社ではデータセンターも運営しており、お客様のシステムをお預かりしてのハウジング※やクラウドサービスの提供、自社パッケージ製品の全国拡販や運用保守などを行っております。

※ハウジング：企業や個人が自社のサーバーやネットワーク機器を、データセンターのラックやスペースに設置して運用するサービス

サイバーセキュリティに関して、これまでどのような取り組みや意識をお持ちでしたか？Microsoft 365などのMS製品を活用されていた場合、その利用状況についても教えてください

林氏：当社は「NEC情報サービス事業グループ」加盟会社のため、NECが定めるセキュリティ指針に準拠して取り組みを進めています。また、ISMSなどの認証取得もしており、各種基準に基づいた方針決定・運用の策定を行っています。

高橋氏：世間は今やフリーアドレスや端末の持ち出しが当たり前になってきているが、うちはそれに比べると遅れている部分もあったと思います。これまではオンプレミスメインの環境下で、一部を除き、端末やデータの持ち出しを禁止しての作業環境でしたが、コロナ禍において、出社停止等これまでと異なる環境での業務を強いられたときに、我々のセキュリティポリシーをどう見直さなければならないかを含め、外部環境で作業を行うにはどのように行っていく必要があるかを考えるきっかけのひとつになりました。
提供されているクラウドサービスのセキュリティ水準が高まったことや、各大手企業が続々と、web会議ツールやクラウドストレージなどのクラウドサービスの導入を始めたこともあり、環境の変更にも耐えうる方針の変更に向けて舵を切り始めました。
しかし、働き方の自由度がただ上がればよい、というわけではなく、これまで築いてきた堅牢さを担保しつつどのように可用性を高めていくのか、様々議論を進めて模索している状況です。

林氏：コロナ禍は、実際のところリモートデスクトップで画面転送を行うような形式をとっておりデータの抜き出しができるような環境にはなっていなかったものの、これまでのオンプレメイン環境とは異なりweb会議ツール(Teams)、それに付随するストレージサービス(OneDrive)を含むクラウドサービスの利用が推進されてきました。
昨今、ランサムウェア等のサイバー攻撃が猛威を振るっている中、ゼロトラストのような発想からこのままオンプレメインの環境ではいけない、となっているところで Microsoft 365 入れることをきっかけに、社内の今までの環境から、クラウドサービスを利用していく形で進めていこうという結論に至りました。
ただ、 Microsoft 365を導入した際にユーザー端末関係なくどこからでもアクセスできる形にしてはいけないとの考えも勿論あったため弊社の小川で、いくつか認証の方法がある中で、クライアント証明書による認証が良いのではないか、との提案もあり新たな認証方法を導入することにしました。

小川氏：営業部に限り端末の持ち出しを行うこともあったが、部内環境を構築し、VDI利用に限定されていた。基本的にデータを持ち出さない、外に持たないこともポリシーの一つとして持っていたため、そのような運用になっていた。
確かに便利ではあるが、クラウドシステムのデータセンターはどこにあるのか？ということもありポリシー見直しの必要性も感じているが、提供されているサービス自体がそちらの方に移っていくということもあって、いろいろ検討していました。

高橋氏：今は40％程度がテレワークとなり、60～70％が出社を行う体制になっており、ある程度働き方の部分も整ってきている。

クライアント証明書（CBA対応版）の導入を検討されたきっかけ・背景を教えてください

高橋氏：いつでもどこでも仕事ができる、となってしまったときに、私用端末で Microsoft 365ライセンスの利用を行われるなどのリスクも感じました。一定の制限を設けるためにどのようなことをしたらよいか検討した結果、クライアント証明書認証の導入により、業務端末に限定した利用ができることがきっかけでした。

小川氏：セキュリティ強化に向けて検討した際に、はじめはMicrosoft Intuneを入れるのが一番手っ取り早いと感じましたが、予算都合なども鑑みて何かほかにできることが無いか模索していました。
今後想定される外部からのアクセスや、業務端末の持ち出しも増えていく中で、これらを考慮した設計はどのようにしていくべきかを踏まえ、それを実現できるクライアント証明書を導入しよう、という考えに至りました。また、情報収集にあたり受講した Microsoft 365のセキュリティに関するオンラインセミナーでもクライアント証明書による認証方式が推奨されている様子だったため、それもクライアント証明書認証を選択する一つのきっかけになりました。
クライアント証明書導入に際して、AD(Active Directory)の証明書サービスなども検討しましたが、運用面が複雑なこともあり外部サービス利用の方針で調べていたところ、自社の一部サービスで利用しているNRA-PKIクライアント証明書でCBA版の提供があることがわかりました。
業務端末以外、複数端末へのインストールが簡単にできてしまうものだと意味が無いと感じていましたが、ダウンロード回数に制限のあるNRA-PKIクライアント証明書であれば、その不安も解消できるため安心して利用できると判断しました。

高橋氏： Microsoft 365の導入きっかけが、社内全体で利用している Microsoft Office 2019のサポート終了だったため、Microsoft 365の導入に向けて先にスケジュールを設定しており、期限が決まっている中で素早く導入に向けた動きができるところも選定にあたってのポイントとして持っていた。

実際に評価環境でお試しいただいた際、導入の決め手になったポイントは何でしたか？

小川氏：他社提供のクライアント証明書認証サービスともと比較検討を行いましたが、コストパフォーマンスの良さは魅力のひとつとして考えています。また、過去の利用経験やトライアルの実施により、導入前にどのようなことができるかが明確になったのも、実際の利用イメージを持つことができたので良かったです。

導入後、実際の運用やユーザー認証の面で感じたメリット・デメリットを教えてください

高橋氏：問題が無いかを確認するため、管理者、担当主任と段階を踏んで導入を実行しました。
導入段階で、管理者からの証明書発行後ダウンロード期限を迎えてしまい再送付を必要とするケースの問合せが発生することはありましたが、概ね問題なく利用することができました。

小川氏：不明点があった時にサポートへ連絡した際、すぐに回答をいただけたのはよかったです。
導入に際して、先ずは一人当たり複数端末の利用が想定されていたため、端末台数の確認を行いました。複数台目を利用する際には、同一のメールアドレスへの発行を行うことができなかったため貴社技術サポートに連絡いたしましたが、素早い回答で解決することができました。

実際に利用されている社員の方々の反応や、導入前後での変化があればお聞かせください

小川氏・高橋氏：操作や認証方法の変化によるネガティブな意見は見られませんでした。レスポンスの遅延や表示エラー等、申出が出るかもしれないとも思っていましたが、特段問題なく利用いただけていたと思います。

今後、CBAの活用をさらに広げたい領域や、今後のセキュリティ強化の方向性があれば教えてください

林氏：明確なロードマップやポリシーはこれから策定していく必要があると考えています。
これまでのオンプレメインの働き方から、SaaS等のサービスを見直し、有効活用を行っていきたいと考えており、その中で、従来と同じだけのセキュリティ担保をどのように行っていくかをきちんと整えていきたいです。

小川氏：社内運用がひと段落した段階で、他のサービスやシステムでの活用も調べていきたいと思っています。

高橋氏：最近は大手企業でのランサムウェア被害も多く増えていることから、EDR(Endpoint Detection and Response)などの対策も導入しつつ、機密性を担保していかなければならないと感じています。

同様の課題を抱える企業に向けて、導入を検討する際のアドバイスがあればお願いします

林氏：技術に明るくないと、どのような対策、認証方式が適切なのか、そもそも何をしなければならなくてなにがセキュリティ対策に有効なのかを完全に理解することができないため、先ずはそういった導入のきっかけになる部分や課題を認知していくことが必要だと思います。
高橋氏：目の前で見えている部分だけ見て、すべて守られていると判断するのではなく、多角的にどのような対処が必要なのかをきちんと分析していく必要があると感じました。

Corporate Profile

株式会社ワイイーシーソリューションズ
https://www.yec.ne.jp/
 
経営管理本部
執行役員(兼)本部長
高橋 宏行 氏
 
経営管理本部 総務部
エキスパート
林 大介 氏
 
経営管理本部総務部
主任
小川 毅 氏